ホテル日航プリンセス京都、Expedia管理者アカウント不正アクセス——従業員なりすましフィッシングメッセージで顧客にクレジットカード情報入力を要求

項目	内容
発生日	2026年3月2日（フィッシング配信）／2026年3月5日〜2027年2月27日（情報閲覧可能期間）
対象組織・業界	ホテルプリンセス京都（「ホテル日航プリンセス京都」運営・宿泊業）
攻撃手法	予約サイト管理者アカウントへの不正アクセス→顧客へのフィッシングメッセージ配信
情報源	Security NEXT（2026年4月3日）

概要

ホテル日航プリンセス京都を運営するホテルプリンセス京都は、予約サイト「Expedia」の管理者用アカウントが不正アクセスを受けたと公表しました。予約サイト経由で宿泊予約した一部顧客の氏名・電話番号・宿泊日・料金が閲覧された可能性があります。

さらに、従業員になりすましたフィッシングメッセージが顧客に配信され、クレジットカード情報の入力を求める内容だったと説明されています。フィッシングメッセージの配信は2026年3月2日、個人情報の閲覧可能期間は2026年3月5日〜2027年2月27日と公表されています（後者の期間は公表内容の通り記載）。

経緯

• 2026年3月2日: 従業員になりすましたフィッシングメッセージが顧客に配信される
• 2026年3月5日〜: 予約情報の閲覧が可能な状態が発生（公表内容ベース）
• （検知後）: 管理者アカウントのパスワード変更・復旧、影響顧客へのメール注意喚起
• 2026年4月3日: 事案を公表

原因

管理者アカウントへの不正アクセスと特定されていますが、侵入経路（認証情報漏えい・フィッシング詐取・パスワードリスト攻撃・多要素認証の未設定等）の詳細は公表時点で明示されていません。

考えられる原因（推測）

以下は公表事実から考えられる仮説であり、同社が公表したものではありません。

1. 多要素認証の未設定・任意設定: 宿泊業界のOTA（オンライン旅行代理店）管理画面では、多要素認証が任意設定になっていることが多く、パスワード単一防御になっていた可能性が考えられます
2. 同一パスワードの使い回し・過去漏えい情報の悪用: 過去のデータ漏えいで流出した認証情報を用いたリスト型攻撃で管理者アカウントが突破された可能性があります
3. 予約プラットフォームの管理画面を悪用したフィッシング: OTAの管理画面は顧客とのメッセージ機能を持っており、乗っ取ると「宿泊施設からの正規メッセージ」として届く。この信頼性を悪用したフィッシングが極めて成立しやすい構造です

対策

組織が学ぶべきこと

1. OTA管理画面のアカウント運用を「銀行アカウント」水準に引き上げる: 予約プラットフォームの管理画面には顧客個人情報と決済関連の権限が集中しており、通常の業務アカウント以上の保護が必要です。多要素認証必須化・特権アクセスの分離・海外IPからのアクセス制限を最低限の運用として組み込むべきです。

2. 予約プラットフォーム側の異常検知に依存しない: OTA側のセキュリティに完全依存すると、管理画面での不審な操作（顧客への大量メッセージ送信・情報一括閲覧）を宿泊施設側では検知できません。OTAの管理ログを可能な限り自組織側にも取得し、監視できる体制が望ましい状態です。

3. なりすまし配信への「顧客側の見分け方」を先回りで発信する: ホテル・OTAからの正規連絡と、そうでない連絡の見分け方（連絡経路・URL・要求内容）を、平時から顧客向けページに掲載しておくことで、有事のフィッシング被害拡大を抑えられます。

ヤグラの視点 — 二次攻撃の連鎖を断つ：予約顧客への時間差フィッシング被害への備え

このインシデントの本質は、宿泊施設側の情報漏えいではなく、攻撃者がホテルの管理者アカウントを踏み台にして、宿泊予約顧客に対して二次フィッシング攻撃を仕掛けたことです。「宿泊予約したホテルからの連絡」として届くメッセージは、顧客にとって疑いにくく、クレジットカード情報の入力を求める本文の説得力が跳ね上がります。攻撃者は一つの管理者アカウントを奪うだけで、そのホテルに予約した全顧客を潜在的被害者に変えられる構造を狙っています。この連鎖を断つには、報告経路を1クリックで整備し、報告されたメッセージに対してAIが即座に「同じメッセージが誰に届いたか」まで自動追跡できる仕組みが必要です。人が全顧客に個別に連絡する対応は時間的に間に合わず、二次被害の拡大を止められません。騙される前提に立てば、報告の間口を1クリックまで下げ、報告されたメールをAIが数分で分析し「同じメールが社内の誰に届いているか」まで自動調査する体制が二次被害を断ちます。→ PhishAI

今後の対応

フィッシングメッセージ配信件数、クレジットカード情報を入力してしまった顧客数、Expedia側の対応、他OTAでの類似事案の有無について続報を注視し、判明次第本記事に追記します。

更新履歴

日時	内容
2026-04-03	第一報を掲載